중소기업 기술보호 가이드

 뉴딜코리아 홈페이지 

중소기업 기술보호 가이드

중소기업 기술이 소중하게 보호되어 기술경쟁력이 강화되고, 더 나아가 대·중소기업이 함께 성장할 수 있는 공정한 사회가 되길 기대합니다

□ 기술침해 사전예방 10대 수칙
 
1. 기술보호를 위한 관리규정을 갖추고 실시해야 합니다.

2. 보안관리 인력은 반드시 지정해야 합니다.

3. 정기적인 기술보호 교육을 실시해야 합니다.

4. 전 직원은 비밀유지서약서, 핵심 직원과는 04 전직금지서약서를 체결해야 합니다.

5. 핵심기술 인력이 퇴직할 경우 철저한 사후관리를 해야합니다

6. 중요기술은 영업비밀로 분류하고 접근·복제·반출은 철저히 관리해야 합니다.

7. 기술자료 제공시 반드시 비밀유지협약을 체결해야 합니다.

8. 중요설비·장치가 설치된 곳은 통제구역으로 설정하고 관리해야 합니다.

9. 정보시스템에 대한 보안을 철저히 해야 합니다.

10. 중요 기술은 특허나 기술자료 임치로 보호해야 안전합니다.

□ 기술침해 피해를 입었다면?

1. 자체 대응절차(5단계)

2. 행정기관 지원

3. 법원을 통한 해결

☞ 첨부파일 : 중소기업_기술보호_가이드
출처 : 중소벤처기업부

컨설팅 : ISMS-P, ISO27001, GDPR, PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

산업제어시스템 보안요구사항

 뉴딜코리아 홈페이지

산업제어시스템 보안요구사항

본 표준의 제1부에서는 산업제어시스템 보안 개념과 보안 참조 모델을 정의하며,
제2부~제4부에서는 제1부에서 정의한 개념과 참조모델을 고려하여 계층별 보안 요구사항을 정의한다.

□ 제1부 개념과 참조모델

산업제어시스템은 타 IT 시스템에 비해 운영의 연속성이 매우 중요하다.

전력, 가스, 상하수도, 원자력 등의 운영 중단은 타 IT 시스템과는 비교할 수 없을 정도의 큰 피해를 일으킬 수 있기 때문이다.

따라서, 산업제어시스템에서 사이버보안 사고에 의한 피해가 발생하더라도 운영은 지속되어야 한다.

이를 ‘가용성’이라 하며, 산업제어시스템에서는 가용성이 가장 높은 우선순위의 보안요구사항이다.

이를 고려하여, 다음과 같은 보안 원칙을 갖는다.

<산업제어시스템의 보안 원칙>

• 네트워크 견고성: 비정상적이거나 과도한 양의 통신 데이터가 유입되는 경우에도 명령, 제어, 보고, 모니터링 등 필수 서비스를 제공해야 한다.

• 서비스 지속성: 업무 연속성 확보를 위한 기능을 제공해야 한다.

  이는 전원, 저장 장치 등 자원의 가용성 확보와 물리적인 공격에 대한 보호 기능 등을 포함한다.

• 보안 기능: 식별∙인증, 접근통제, 전송 및 저장 데이터 보호 등 보안성 확보를 위한 보안 기능을 제공해야 한다.

산업제어시스템 보안참조모델은 아래 그림과 같이 운영 계층, 제어 계층 현장 장치 계층으로 구성된다.

산업제어시스템을 구성하는 계층별로 각각의 보안원칙을 제공한다.

즉, 각 계층에서 준수하는 보안원칙은 서로 독립적이며 다른 계층의 보안원칙에 영향을 주지 않는다.

□ 제2부~제4부 현장장치 계층, 제어 계층, 운영 계층

현장장치 계층은 센서, 액츄에이터 등의 상태 데이터를 계측∙수집하거나 제어하는 역할을 하며, 제어 계층과 통신하는 구성요소도 포함한다.

제어 계층은 제어 소프트웨어로부터 명령을 받아 현장 장치를 제어하는 역할을 수행한다.

제어 프로토콜을 처리하는 임베디드 장치인 제어 하드웨어가 구성요소이며, PLC(Programmable Logic Controller), DCS(Distributed Control System), RTU(Remote Terminal Unit) 등이 해당된다.

운영 계층은 제어 하드웨어와 통신하며 현장 장치의 상태를 모니터링하고 제어 명령을 내리는 제어 소프트웨어가 구성요소이며, HMI(Human Machine Interface), EWS(Engineering Workstation) 등이 해당된다.

각 계층에 적용되는 보안요구사항은 네트워크 견고성, 서비스 지속성, 보안 기능의 세 가지 보안원칙에 따라 아래 표와 같이 동일한 구성을 가진다.

그러나, 세부 보안요구사항은 각 계층의 특성을 고려하여 다르게 구성된다.

이러한 보안요구사항을 통해서 제어 H/W, 제어 S/W, 스마트 현장 장치 등 산업제어시스템의 보안 기능 및 가용성 관련 기능을 확인하여 실제 운영에 투입된 뒤 발생할 수 있는 취약점을 최소화할 수 있다.

첨부파일 :

 • 산업제어시스템 보안요구사항_제1부(개념및참조모델) 

 • 산업제어시스템 보안요구사항_제2부(현장장치계층) 

 • 산업제어시스템 보안요구사항_제3부(제어계층) 

 • 산업제어시스템 보안요구사항_제4부(운영계층)

뉴딜코리아, isms,컨설팅,산업보안,스카다,scada,취약점,모의해킹,rapid7,네트워크,서비스

컨설팅 : ISMS-P, ISO27001, GDPR, PCI-DSS 

스카다(scada) 취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

제4차 산업혁명과 산업보안전망

 뉴딜코리아 홈페이지 

제4차 산업혁명과 산업보안전망

(중앙대학교 산업보안학과 장항배 교수)

미래 산업융합 환경과 보안 방향

The traditional "control" mindset(통제) of information security cannot keep pace with technological and behavioral change, resulting in policies and technologies that cause frustration and impede agility(반발을 유발하고 민첩성을 저해).

A new approach is required - one that recognizes how the relationships between IT, the business and individuals have been transformed irrevocably.

People-centric security is a strategy that represents an alternative to conventional information security practice. PCS aims to strike a balance between risk reduction and employee agility.

강압적이고 예방 중심의 통제가 아닌

임직원에 대한 신뢰를 기반으로 책임과 권한을 할당하고,

교육을 통해 보안 인식과 역량을 향상시키는 동시에

지속적인 모니터링을 통해 이상징후를 신속히 탐지하고

대응하는 접근방법의 중요성을 강조

○ 첨부파일 : 제4차 산업혁명과 산업보안전망

[참고]
People-Centric Security: Transforming Your Enterprise Security Culture

People Centric Security deals with the understanding, measuring and transformation of the security culture of an enterprise organisation. It is written in three distinct parts. The book starts by asserting that the world of IT is in a state of crisis brought about by data breaches leading to major security incidents.

Recognising that society has undergone a major culture shift brought about by adopting networked digital technology, the author claims that what is required to deal with these cultural changes is to furnish the individuals responsible for information security with a new set of concepts and techniques.

The book considers that a people-centric approach to security is not just simply addressing the threat brought about by humans in the operation of IT and designing procedures to cope with problems that may arise. An effective approach needs to go much further looking beyond the organisations immediate security needs to embrace the design of systems that put people at the centre. The author then considers cultural threats and risks in some considerable detail in order to round off part I.

Part II covers the measurement of security culture. It asserts that in any organisation there are multiple competing cultures each reflecting local values and priorities. It is highly unlikely that everyone in the organisation is sharing the same beliefs and assumptions regarding how security should and does work. 

The author proposes a framework on how best to interpret and compare cultures. Tools are provided to allow the reader to survey and unravel cultures along with mapping techniques to allow them to be displayed and communicated diagrammatically. On the author’s own admission, this part is a fairly intense section of the book.

The steps and the work necessary to transform a security culture is the subject of part III. A FORCE behaviour model is proposed for the implementation of people centric security. The origins of the model are first discussed along with its five core value and applicable metrics. The book concludes by considering at length, amongst other things, the security value of failure, resilience and expertise.

The book is likely to appeal to a fairly narrow readership amongst project managers and IT culture-orientated specialists who are possibly seeking an alternative approach to the more traditional way in which culture is dealt within organisations.

I award the book five out of ten in terms of its readability and value for money.

Further information: McGraw Hill

January 2016

컨설팅 : ISMS-P, ISO27001, GDPR, PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

방위산업기술보호법Q&A (방위사업청, 2017. 04)

 뉴딜코리아 홈페이지

방위산업기술보호법 Q & A

■ 방위산업기술보호법의 제정 배경은?

최근 방위산업기술이 국가 안보자산일 뿐 아니라 전략적 경제자원으로 인식되면서, 세계 각국은 방위산업에 대한 기술적 우위 확보 및 유지를 위해 치열하게 경쟁하고 있으며, 필요한 기술을 획득하기 위하여 내부자를 이용하거나 해킹을 시도하는 등 기술 확보를 위한 방법 또한 갈수록 지능화, 고도화되고 있습니다.

이에 따라 선진국은 자국의 방위산업기술 보호와 기술적 우위를 위하여 기술 보호 및 수출 통제를 엄격히 하고, 기술 유출 및 침해에 대한 처벌 수위도 강화하고 있습니다.

우리나라도 최근 방산수출의 증가 및 국내 기술 수준의 향상, 방산관련업체 및 유관기관에 대한지속적인해킹시도등으로방위산업기술의유출가능성이급격하게증가하여이에대한 대응과 국내 방위산업기술 보호를 통한 해외시장에서의 국내기업의 경쟁력 확보 및 잠재적 수출시장 보호의 필요성이 제기 되었습니다.

정부는 방위산업기술을 체계적으로 보호·관리하고, 방위산업기술을 보유하고 있거나 연구개발 중인 대상기관의 보호활동을 적극 지원하여 국가의 안전보장 및 신뢰도를 제고하기 위하여 방위산업기술보호법을 제정하게 되었습니다.

■  방위산업기술보호 종합계획 주요내용

• 방위산업기술의 보호에 관한 기본목표와 추진방향

• 방위산업기술의 보호에 관한 단계별 목표와 추진방안

• 방위산업기술의 보호기반 구축에 관한 사항

• 방위산업기술의 보호를 위한 기술의 연구개발 및 지원에 관한 사항

• 방위산업기술의 보호에 관한 정보의 수집ㆍ분석ㆍ가공 및 보급에 관한 사항

• 방위산업기술의 보호를 위한 국제협력에 관한 사항

• 대상기관의 방위산업기술 보호체계 구축ㆍ운영 시 지원에 관한 사항 등

▶ 첨부파일 : 방위산업기술보호법Q&A

국방 ⊙ 방위산업 부분 망분이 전문기업

 

스마트공장을 위한 최소 정보보안 가이드 라인

 뉴딜코리아 홈페이지 

스마트공장을 위한 최소 정보보안 가이드 라인

최근 사이버 취약점을 공격하는 사례가 급증하고 있고 특히 제조, 에너지 등 ICS 산업 시스템의 물리적 공정을 자동화하고 모니터링하는 센서, PLC, 소프트웨어나 네트워크 장비에 대한 공격이 증가하고 있다. 이러한 산업분야의 정보보안 인력은 대부분 ICS가 자산이라고 인식하지 못하여, 알람을 무시하거나 산업환경이 위험에 노출된 채로 취약점을 방치하는 경우 많다는 것이 ICS 산업분야의 정보보안사고의 주요 원인 중 하나로 지적되고 있다.

우리나라도 산업통상자원부 산하‘스마트공장추진단’이 발족한 이래로 2014년 8월 27일에 1차 버전의 스마트공장 참조모델이 개발되었고, 개정작업을 거쳐 2015년 10월 16일 기계부품조립, 전자부품조립, PCB 제작 등 14개 분야에 대한 스마트공장 참조모델 2차 버전이 개발되어 배포되어 스마트공장이 활발히 보급되고 있다.

그러나 사이버범죄가 고도화되고 있는 현재의 환경을 고려한다면, 정보보안이 취약한 산업분야에 스마트공장을 보급 및 확산하는 것은 더욱 지능화된 사이버범죄자들에게 고속도로를 놓아주는 것과 다름없는 위험성을 내포하고 있다. 특히 국가적 차원에서 대규모의 자본과 인력이 투입되어 시도되는 국가 인프라나 주요 산업부문에 대한 사이버공격의 양상을 고려했을 때 스마트공장의 도입과 운영에 있어서 철저한 정보보안 대비책이 시급한 실정이다.

이와 같은 스마트공장 정보보안의 필요성에 따라 현재 스마트공장 도입․운영 하거나 스마트공장 도입을 고려하고 있는 업체가 최소한의 정보보안 대응력을 마련하고 차후 해당 업종과 스마트공장 수준에 맞는 적절한 정보보안대책이 수립 가능한 기초역량을 배양할 수 있도록 하는 것이 본 가이드라인의 목적이다.

목   차

Ⅰ. 서론
1. 스마트공장 정보보안 사고 사례
2. 스마트공장 최소보안가이드라인 적용 효과 분석

Ⅱ. 스마트공장 최소보안가이드라인


1. 공장 보안조직 및 규정
1.1 정보보호 규정 수립
1.2 정보보호책임자와 담당자 지정
1.3 정보보호 서약서
1.4 정보보호 교육
1.5 자산 파악

2. 공장 시설·설비·장비 및 매체 보안
2.1 보호구역 지정
2.2 외부 위탁 시 물리적 보호
2.3 출입통제
2.4 장비 및 매체 반출입

3. 공장시스템 접근권한 관리
3.1 정근통제 절차
3.2 관리자 및 특수 권한 관리
3.3 외부자 권한
3.4 패스워드 관리
3.5 네트워크 접근 통제
3.6 관리자 응용프로그램 접근 통제
3.7 모바일 기기 관리

4. 공장시스템 운영 보안
4.1 보안시스템 접근권한 최소화
4.2 원격 접근 통제
4.3 무선 네트워크 보안
4.4 공개서버 보안
4.5 악성코드 통제
4.6 로그관리 및 모니터링

5. 공장시스템 개발 보안
5.1 개발 시 보안통제 요구사항 요청

6. 공장시스템 침해사고 관리
6.1 침해사고 관리

7. 개인정보보호
7.1 개인정보 수집 제한
7.2 개인정보 암호화
7.3 영상정보처리기기 운영

■ 첨부파일 :
 - 스마트공장 최소보안 체크리스트
 - 스마트공장 최소보안가이드